フィッシングからBECまで——IPAが夏季休暇前に6種類のメール攻撃手口と対策を一挙公開

「セキュリティ担当者が夏休みで不在のときに、社員がフィッシングメールに引っかかってしまったら？」
「BEC（ビジネスメール詐欺）で知らない口座に送金してしまったら？」

チップス

夏休み前って、なんかセキュリティ的に怖いでしゅね……

ボス

そうだな。休暇中は担当者が少なく、判断が甘くなりやすい。攻撃者はそこを狙うんだ

この記事では、IPAが2026年8月3日に公開した「企業組織を狙うメールを悪用した攻撃の手口とその対策」をもとに、夏季休暇前に押さえておくべきポイントをまとめます。

続きを読むことで、各手口の特徴から具体的な対策手順まで、すぐに実践できる知識が身につきます。

IPAが分類するメール攻撃の6種類とはなにか

IPAが今回公開した資料では、企業組織を狙うメール攻撃を大きく6つに分類しています。
いずれも「人の心理的な弱点に付け込む」ソーシャルエンジニアリングが共通する特徴です。

チップス

6種類もあるんでしゅか？名前だけでもう怖いでしゅ……

ボス

技術的な複雑さよりも、人間の信頼感を逆手に取る点が核心だな

偽装・誘導系の6手口

6種類の内訳は以下の通りです。

特に注目すべきはBECです。
日本では1件で8,000万円以上の被害を受けた事例が2026年にも報告されています。
FBI IC3の2025年報告では、BECによる損失はランサムウェアの約94倍に達しており、金融被害の大きさは際立っています。

手口が変わらないのに被害が続く理由

IPAの資料は「攻撃手口に大きな変化はない」と指摘しています。
それでも被害が続く背景には、「自分の会社は狙われない」「自分は引っかからない」という過信があります。
内容が不自然であっても、送信者に対する信頼感があると、ターゲットは指示に従ってしまいます。

チップス

確かに有名な大企業だけが狙われると思ってたでしゅ……

ボス

規模に関係なく、隙のある組織を攻撃者は探している。対策が甘い中小企業こそ狙われやすいんだな

夏季休暇前に整えておく三段階の対策

夏季休暇中は担当者が不在になりやすく、インシデント対応が遅延するリスクがあります。
フォレンジック調査会社の報告では、8月のセキュリティ相談件数は7月比1.2〜1.5倍に増加します。
事前・検知・事後の三段構えで備えることが重要です。

技術的対策——なりすましメールをブロックする仕組みを整える

まず、以下のメール認証技術の導入が有効です。

これらを組み合わせることで、なりすましメールの大部分をサーバー側でブロックできます。

組織的対策——人を守るルール整備が最後の砦

技術だけでは防ぎきれないのがメール攻撃の本質です。
以下のルールを休暇前に徹底しましょう。

チップス

送金前に電話確認するだけで防げるんでしゅか！

ボス

それだけで億単位の損失を防げた事例が実際にある。シンプルだが最も効果的な対策だな

まとめ

IPAが公開した資料は、フィッシングからBECまでの6種類のメール攻撃手口を体系化し、事前・検知・事後の対応を一覧でまとめた実践的なガイドです。
攻撃者は技術よりも「人の信頼感」を武器にしており、手口に大きな変化がなくても被害は増え続けています。

夏季休暇が始まる前に、SPF/DKIM/DMARCの設定確認と、送金指示の電話確認ルール徹底を組み合わせることが、最も費用対効果の高い対策です。

ボス

技術と組織の両輪で備えておけ。休暇を安全に乗り切れるかどうかは、今日の準備で決まるんだな

チップス

はいでしゅ！担当者さんに今すぐ共有するでしゅ！